Exploit ITW e nuove 0-day, operazioni state-sponsored globali, framework AI e minacce inedite

Vulnerabilità: 0-day di Google e Microsoft e diverse falle sfruttate ITW

Nella scorsa settimana sono state rilevate numerose vulnerabilità sfruttate attivamente, tra cui due 0-day di Google Chrome e Microsoft Outlook e diverse falle successivamente inserite nel catalogo KEV della CISA. Google ha corretto CVE-2026-125350, una Use-After-Free nel componente XML di Chromium che consente l’esecuzione di codice arbitrario all’interno della sandbox del browser tramite una pagina web malevola. Il vendor ha confermato l’esistenza di un exploit ITW, senza fornire ulteriori dettagli. Parallelamente, Microsoft ha pubblicato il Patch Tuesday di novembre e tra le falle corrette figura la 0-day CVE-2026-124194 (CVSS 6.5) di Outlook, che consente a un attaccante remoto non autenticato di indurre un utente ad aprire un file di messaggio appositamente creato, provocando una connessione a una risorsa di rete controllata dall’avversario senza il consueto avviso di sicurezza, con possibile esposizione dell’hash NTLMv2 e rischio di impersonificazione. Il 10 novembre la CISA ha inserito nel catalogo KEV entrambe le due vulnerabilità 0-day, insieme ad altre sei falle sfruttate ITW. Tra queste figurano: CVE-2026-20320 di Cisco BroadWorks, una XML External Entity (XXE) Injection sfruttata nell’Operation Snowball da un avversario sinofono mediante un framework offensivo autonomo basato su DeepSeek Flash per sottrarre chiavi private e credenziali SSL dai sistemi BroadWorks XSP; CVE-2026-116606 e CVE-2026-111560 di Barracuda Networks, rispettivamente una Authentication Bypass e una OS Command Injection concatenabili per ottenere accesso root non autenticato agli appliance Email Security Gateway (ESG) con interfaccia amministrativa raggiungibile; e CVE-2026-111793 di Openwave Messaging Webtop Media Transcoder, che consente a un utente autenticato di aggirare le restrizioni sui tipi di file e accedere a informazioni sensibili. Barracuda ha confermato sfruttamenti attivi contro un numero limitato di organizzazioni, senza accertare l’impiego concatenato delle due falle, mentre tra il 9 e l’11 novembre sono stati osservati 17 tentativi di sfruttamento di CVE-2026-116606 provenienti da 15 indirizzi IP. Inoltre, dopo aver riscontrato evidenze di sfruttamento attivo, il 6 e il 9 novembre la CISA ha aggiunto al catalogo KEV cinque vulnerabilità: CVE-2026-19868 (CVSS 7.1) di SonicWall SonicOS, una Use of Single-factor Authentication che permette a un attaccante in possesso di credenziali valide per un metodo alternativo di aggirare i controlli SAML e potenzialmente l’MFA del servizio SSL-VPN; CVE-2026-102895 (CVSS 9.8) di GPUStack, una falla di autenticazione che consente di ottenere privilegi amministrativi da remoto senza autenticazione, sfruttata per creare backend malevoli ed eseguire reverse shell; CVE-2026-116779 (CVSS 9.8) di SignalWire FreeSWITCH, una Code Injection che consente l’esecuzione di comandi tramite messaggi SIP MESSAGE malevoli, anche senza autenticazione in determinate configurazioni; CVE-2026-123158 (CVSS 8.1) di OpenSSH, denominata SSHole, una Authentication Bypass che interessa specifiche configurazioni Linux basate su musl libc senza PAM, tra cui Alpine Linux, consentendo accessi non autorizzati ad account normalmente non accessibili tramite password; e CVE-2026-123218 (CVSS 9.8) di IBM Aspera Faspex, una Incorrect Authorization che permette a un utente autenticato di ottenere privilegi amministrativi completi. In particolare, per SSHole sono stati documentati attacchi riusciti dal 7 novembre, alcuni riconducibili al cluster GT10, che ha sfruttato la falla per eseguire comandi, tentare di stabilire persistenza e, in almeno un caso, ottenere privilegi root e distribuire il C2 Python TAC Agent. La CISA ha incaricato le Agenzie dello US Federal Civilian Executive Branch (FCEB) di correggere CVE-2026-102895, CVE-2026-116779, CVE-2026-123158 e CVE-2026-123218 entro il 12 novembre 2026; CVE-2026-116606 e CVE-2026-111560 entro il 13 novembre; CVE-2026-19868 entro il 20 novembre; e CVE-2026-20320, CVE-2026-111793, CVE-2026-124194 e CVE-2026-125350 entro il 24 novembre 2026.

State-sponsored: cyberspionaggio, compromissioni supply chain e attribuzione degli attacchi OT in Francia

Tra il 3 e il 4 novembre 2026, ricercatori di sicurezza hanno individuato nuove attività della campagna PolinRider, attribuita al nordcoreano Lazarus Group, che ha coinvolto 17 pacchetti npm compromessi, caratterizzati complessivamente da circa 1.400 download settimanali. I loader JavaScript malevoli, eseguiti durante l’importazione dei moduli o l’avvio delle applicazioni, interrogano la blockchain Ethereum per recuperare dinamicamente gli indirizzi dei server C2 e scaricare ulteriori payload, tra cui un RAT Node.js capace di eseguire comandi, trasferire file e accedere agli appunti. I pacchetti sono stati rimossi, ma non risultano confermati il numero di infezioni né eventuali dati sottratti. Sempre in relazione a Lazarus Group, un’indagine su certificati TLS e fingerprint di rete ha identificato 13 endpoint IP correlati all’infrastruttura dei malware FLATROOF e ROOFDECK, utilizzati in campagne contro il settore delle criptovalute attraverso falsi colloqui di lavoro, repository malevoli e provider Terraform trojanizzati. Le evidenze non dimostrano che tutti gli endpoint abbiano operato come C2 né consentono di collegarli direttamente al recente attacco di fine ottobre contro Binance. Spostandoci in ambito russo, Turla Group ha condotto una campagna di cyberspionaggio contro organizzazioni governative in Kazakistan e Romania, utilizzando Cereal, toolkit composto da otto moduli .NET destinati a server Microsoft Exchange compromessi. Nel caso rumeno, il malware era configurato per individuare comunicazioni con indirizzi istituzionali della NATO e dell’Unione europea. Le intrusioni sono state rilevate tra novembre e dicembre 2025, con attività proseguite nel gennaio 2026, senza che sia stato identificato il vettore iniziale. L’11 novembre 2026, il servizio di intelligence rumeno SRI ha confermato di aver individuato e bloccato l’attacco contro l’istituzione nazionale, dichiarando di non aver rilevato esfiltrazioni di dati sensibili e di aver ripristinato il servizio di posta elettronica. Sul versante cinese, sono state documentate tre campagne di cyberspionaggio associate al framework Sparrow, denominate SilentDelivery, OceanGate e DarkWire, con attività osservate complessivamente in 21 Paesi. Le sovrapposizioni tecniche suggeriscono che l’avversario CopperDragon possa fornire strumenti a gruppi allineati alla Cina, tra cui GhostEmperor e UAT-9244, senza attribuzioni definitive delle singole intrusioni. SilentDelivery ha sfruttato siti legittimi compromessi e falsi avvisi di Chrome per distribuire le backdoor SquadC e SparrowDoor; OceanGate ha colpito organizzazioni governative e infrastrutture critiche asiatiche mediante AnnobinDoor, SparrowShell, componenti SSH trojanizzati e varianti di SparrowDoor, con esfiltrazione di informazioni operative sensibili; DarkWire ha interessato operatori di telecomunicazioni latinoamericani ed enti governativi attraverso CopperLoader, CopperDoor e CopperDNS, quest’ultimo caratterizzato da comunicazioni C2 tramite query DNS MX. Sempre in Asia, il gruppo state-sponsored kazako Silent Lynx è stato associato a compromissioni della rete ferroviaria e dei sistemi governativi del Tagikistan e della piattaforma Smart Forestry dell’Uzbekistan, documentate attraverso una directory esposta sull’infrastruttura dell’avversario. In Tagikistan, l’attaccante ha mantenuto accesso persistente con privilegi di dominio alla rete ferroviaria e, sfruttando un account compromesso, ha raggiunto la piattaforma governativa EDO, raccogliendo oltre 2.000 documenti transitati attraverso il Ministero della Difesa. In Uzbekistan, file WAR malevoli, web shell e accessi privilegiati a PostgreSQL hanno consentito l’esecuzione di comandi sul server GeoServer compromesso. Le attività hanno previsto spear phishing con file LNK, l’impiego dei malware Laplas e Chvost e l’utilizzo di Hermes, framework agentico basato su DeepSeek e Gemini per automatizzare ricognizione, raccolta documentale e cancellazione delle tracce operative. Sono inoltre emersi preparativi per una possibile campagna contro il Turkmenistan, senza compromissioni confermate. Restando nel panorama asiatico, una campagna di cyberspionaggio basata sul malware GravityRATha preso di mira principalmente personale militare e professionisti indiani dell’industria della difesa. La minaccia, rilevata su 14 dispositivi in India nei dodici mesi precedenti, viene distribuita attraverso falsi portali di reclutamento che inducono le vittime a installare applicazioni Android esterne a Google Play, consentendo la raccolta di comunicazioni, posizione, documenti e backup cifrati di WhatsApp. L’indagine ha inoltre individuato DropDeckX, malware Windows sviluppato in Electron con capacità di furto di credenziali, persistenza e distribuzione di ulteriori payload. L’attribuzione non è chiara, ma si segnala che il malware è stato associato all’avversario Cosmic Leopard (SpaceCobra), allineato al Pakistan. Infine, sul fronte iraniano, il 9 novembre il Governo francese ha attribuito ufficialmente al Corpo delle Guardie della Rivoluzione Islamica (IRGC) gli attacchi dell’11 e 12 ottobre contro i sistemi di refrigerazione di circa 700 strutture alimentari francesi, identificando il responsabile operativo nell’unità cyber Shahid Kaveh, associata alle identità hacktiviste CyberAv3ngers, Soldiers of Solomon, Mr. Soul e Cyber Isnaad Front. Le manipolazioni dei parametri di sbrinamento hanno provocato perdite alimentari stimate in diverse decine di milioni di euro e almeno 15 principi d’incendio. Le autorità hanno inoltre collegato alla stessa operazione attacchi contro apparecchiature Schneider Electric di piccoli impianti idroelettrici. L’attribuzione si fonda su correlazioni infrastrutturali, attività preparatorie di ricognizione e ulteriori indicatori operativi. La Procura di Parigi ha aperto un’indagine e richiesto mandati di arresto internazionali, mentre la Francia ha annunciato iniziative diplomatiche e sanzionatorie contro Teheran. L’attribuzione riguarda esclusivamente gli episodi francesi di ottobre e non si estende alla successiva ondata europea di novembre rivendicata da NoName057(16) e Z-Pentest.

Cybercrime: offensive basate sull’AI, campagne malevole e minacce contro l’Italia

Nel corso della settimana sono state documentate tre distinte campagne caratterizzate dall’impiego di agenti AI per automatizzare diverse fasi delle intrusioni informatiche. A partire da ottobre 2026, il gruppo cybercriminale Storm-3358, con base in Cambogia, ha utilizzato il framework ARTEX contro organizzazioni finanziarie, prevalentemente nel Sudest asiatico, combinando ricognizione di sistemi esposti, sfruttamento di debolezze applicative, tra cui vulnerabilità SSRF e funzionalità di caricamento anonimo di file, e distribuzione dei RAT WISP, VSHELL e AdaptixC2 per persistenza e movimento laterale. In una campagna chiamata Operation Snowball, invece, un avversario sinofono ha impiegato un framework custom basato su DeepSeek Flash, modificato per aggirarne le restrizioni di sicurezza e coordinare agenti autonomi nelle attività di ricognizione, sfruttamento delle vulnerabilità e post-compromissione. Gli attacchi hanno sfruttato CVE-2026-20320 di Cisco BroadWorks per sottrarre chiavi private e credenziali SSL, oltre a CVE-2013-2165 di JBoss/RichFaces e CVE-2020-7961 di Liferay per ottenere ulteriori accessi. Sono stati inoltre osservati web shell, raccolta di credenziali, estrazione del database NTDS.dit e adattamento delle tecniche offensive ai controlli di sicurezza incontrati, senza attribuzioni certe a specifici gruppi o apparati statali. Una terza campagna, denominata BOSSAI, ha impiegato un’infrastruttura di 12 agenti AI, di cui nove operativi, contro centinaia di organizzazioni in 11 Paesi, con accessi non autorizzati o esfiltrazioni documentati presso circa dieci obiettivi. Le attività, basate su SQL Injection, credenziali predefinite, API non protette e brute force, hanno interessato soprattutto servizi di emergenza taiwanesi, con la sottrazione di 119 registri di intervento a Taipei, oltre a organizzazioni finanziarie, università thailandesi e directory telefoniche messicane. L’operazione è stata ricondotta con elevata confidenza a un singolo individuo residente a Taiwan, senza collegamenti dimostrati con strutture statali. In relazione all’abuso di infrastrutture legittime, dal 2 novembre sono state rilevate attività anomale associate a controllori industriali Dixell/Copeland XWEB PRO: nove indirizzi IP hanno generato traffico SMTP verso oltre mille destinazioni, tre dei quali identificati come dispositivi XWEB, mentre ulteriori sistemi hanno mostrato comportamenti compatibili con servizi proxy e tunneling. Sono stati inoltre individuati sei controllori esposti con firmware vulnerabile a CVE-2026-25085, senza evidenze di sfruttamento della falla. Non risultano confermate né l’esistenza di una botnet coordinata né correlazioni operative con i recenti attacchi ai sistemi di refrigerazione europei. Un diverso caso di abuso di accessi legittimi ha interessato gli ambienti cloud dei clienti di Qubole: tra il 14 e il 26 ottobre, un avversario non identificato ha utilizzato credenziali IAM associate al fornitore per assumere ruoli AWS ancora attivi, raccogliere segreti e credenziali, effettuare ricognizione delle risorse ed esfiltrare oggetti da bucket S3. Tra le altre minacce segnalate figura l’infostealer Windows REVSTEALER, veicolato attraverso falsi software, repository GitHub ingannevoli e canali YouTube compromessi utilizzati per diffondere video generati con AI. L’infrastruttura comprende oltre 100 domini potenzialmente correlati, non tutti confermati come distributori del malware. REVSTEALER sottrae credenziali, cookie, dati dei browser, password manager e wallet di criptovalute, impiegando tecniche di evasione e smart contract sulla blockchain Polygon come meccanismo C2 alternativo tramite la tecnica EtherHiding. Moduli aggiuntivi possono introdurre persistenza, accesso remoto e distribuire il miner XMRig. In Italia, il 13 novembre il collettivo hacktivista filorusso NoName057(16) ha rivendicato la compromissione di un sistema di fertirrigazione FERTOOL, marchio della società siciliana La Macchia Salvatore S.r.l., sostenendo di aver modificato parametri dell’interfaccia HMI e interrotto l’erogazione dell’acqua. La rivendicazione è accompagnata da un video, ma gli effetti sull’impianto non risultano verificati indipendentemente. L’8 novembre, l’utente weykofa ha annunciato su un forum underground la vendita di un presunto archivio sottratto alla Direzione Investigativa Antimafia (DIA), comprendente 302 file per 222,3 MB di presunta documentazione investigativa, operativa e amministrativa, senza conferme dell’effettiva compromissione. Il Comune di Rimini ha invece confermato di aver respinto un attacco informatico nelle settimane precedenti al 10 novembre, senza compromissioni dei sistemi o perdite di dati; contestualmente sono state segnalate campagne di phishing contro gli uffici comunali del Riminese, apparentemente provenienti da autorità governative, senza collegamenti accertati con l’incidente. Sul fronte smishing, è stato individuato un falso sito INPS, diffuso tramite SMS, che invitava gli utenti Android a scaricare una presunta applicazione INPS Mobile al di fuori degli store ufficiali. Al momento dell’analisi, il download era simulato e il file APK non installabile, suggerendo una possibile campagna ancora in preparazione. Infine, il 10 novembre esponenti di Anka Team, formazione associata al collettivo turco TurkHackTeam, hanno rivendicato su un forum underground la sottrazione di oltre 19,5 milioni di record dall’Accademia dei Comuni digitali e da VisionFund International, comprendenti presunti dati personali, finanziari, credenziali e informazioni infrastrutturali.

Weekly Threats Report è l’aggiornamento settimanale di Telsy con le principali novità sugli attacchi cyber e sui threat actor a livello globale, realizzato dal nostro team di Threat Intelligence & Response.

Il team è composto da analisti e ricercatori di sicurezza con competenze tecniche e investigative e un’esperienza riconosciuta in ambito internazionale.

Attraverso il monitoraggio costante di minacce cibernetiche ed eventi geopolitici, produce e fornisce alle organizzazioni informazioni utili per anticipare gli attacchi e comprenderne la portata, potendo contare su un partner affidabile in caso di incidente informatico.

Scopri di più sulla nostra soluzione di Cyber Threat Intelligence